A1 Ausfall von Backup-Systemen angesichts externer Ereignisse

Thema

Reaktoren sind so konstruiert, dass sie einer Vielzahl vorhersehbarer externer Ereignisse – Erdbeben, Überschwemmungen, extreme Wetterbedingungen – standhalten. Ihre Sicherheitssysteme werden dabei auf das schlimmstmögliche Szenario ausgelegt, das am gewählten Standort als wahrscheinlich gilt. Diese Anomalie tritt auf, wenn ein tatsächlich eingetretenes externes Ereignis hinsichtlich seiner Schwere oder der Kombination seiner Auswirkungen die Erwartungen der Konstrukteure übertrifft: nicht weil kein externes Ereignis berücksichtigt wurde, sondern weil das tatsächlich eingetretene Ereignis die zugrunde liegenden Konstruktionsannahmen überstieg.

Der am häufigsten zitierte Fall sind die Reaktoren von Fukushima Daiichi. Dort wurden Erdbeben und Tsunamis zwar separat in die Konstruktion einbezogen, doch die spezifische Kombination aus einem starken Erdbeben und einem darauf folgenden Tsunami, der die bestehenden Schutzbarrieren überwältigte, führte zum Ausfall der Dieselgeneratoren und Notstrombatterien. Diese sollten die Kühlsysteme nach dem Erdbeben als automatische Sicherheitsmaßnahme am Laufen halten und lösten so die Abschaltung der Brennelementwechselkette aus.

Diese Sequenz verdeutlicht das zentrale Merkmal dieser Anomalie: Selbst eine sichere Unterbrechung der im Abschaltmodell beschriebenen Kettenreaktion kann zwar korrekt durchgeführt werden, aber dennoch einen schweren Unfall nicht verhindern, wenn dasselbe externe Ereignis, das die Abschaltung ausgelöst hat, auch die Fähigkeit zur Beherrschung der Restwärme beeinträchtigt, die das Modell als das eigentliche Risiko nach der Abschaltung identifiziert hat.

Deshalb erklärt dieses Modul, das mit einem unerwarteten externen Ereignis beginnt, im Anschluss, warum die Auslegung von Backup-Systemen – ihre Redundanz, ihre physische Unabhängigkeit von Primärsystemen und die zur Dimensionierung verwendeten Annahmen zur Schwere von Ereignissen – branchenweit kontinuierlich überprüft und aktualisiert wird: Jede erfolgreiche Abschaltung, die in einem Unfall endet, bestätigt, dass das Stoppen der Kettenreaktion und die Beherrschung der anschließenden Restwärme zwei unterschiedliche Probleme darstellen, die beide gelöst werden müssen, um einen Unfall zu verhindern.

ID:3963